Prodaja družbe in prenos baz osebnih podatkov
Dopustnost prenosa baz osebnih podatkov in s tem povezanih soglasij posameznikov za obdelavo je odvisen od načina prodaje družbe, to je pravnega razmerja med kupcem in prodajacem.
Glede na določila Zakona o gospodarskih družbah, ki je temeljni predpis s področja pravnega statusa družb in korporacijskih dejanj, so prenosi baz osebnih podatkov in s tem povezanih soglasij posameznikov enostavno rešljivi v primerih, ko gre za prodajo družbe s prodajo poslovnega deleža/delnic oziroma v primerih združitev ali delitev kapitalskih družb. V vseh takšnih primerih namreč nova družba postane univerzalni pravni naslednik.
Bistvena pravna posledica univerzalnega nasledstva je v tem, da prevzemni pravni subjekt celostno vstopi v pravni položaj prenosnega pravnega subjekta in da je njegov pravni naslednik glede celote pravic obveznosti in pravnih razmerij. V tem je tudi razlog, da se za prenos obveznosti po poti univerzalnega pravnega nasledstva ne zahteva soglasje pogodbenih partnerjev prenosnega pravnega subjekta (seveda tudi ne z vidika obdelave osebnih podatkov in ne z vidika Zakona o elektronskih komunikacijah).
Glede na navedeno, novi družbi ni treba pridobivati novih soglasij strank za obdelavo njihovih osebnih podatkov seveda, če jih bo nova družba obdelovala za identičen namen, za katerega so bila soglasja originalno podana. GDPR pa v členu 14. za takšne primere določa obvezo kupca (prevzemnika zbirke osebnih podatkov), da v primeru, kadar osebni podatki niso bili pridobljeni od posameznika, na katerega se ti nanašajo, kot novi upravljavec osebnih podatkov posameznikom sporoči v členu 14. zahtevane podatke oziroma informacije.
Bolj zapleten pa je primer prodaje podjetja s prodajo vseh ali bistvenega dela sredstev/premozenja družbe (asset deal), kjer pa gre za tim. singularno pravno nasledstvo. Pri prodaji podjetja s prodajo vseh ali bistvenega dela sredstev družbe kupec v dogovoru s prodajalcem izbira sredstva, pravice, obveznosti in posle družbe, ki so predmet nakupa in prodaje. Vendar kupec sredstev ne postane pravni naslednik ciljnega podjetja oziroma družbe, ki je nosilec podjetja, zaradi česar mora za nadaljevanje dejavnosti pridobiti nova dovoljena in soglasja, če so za to potrebna in podobno. Prav tako je potrebno za prenos obveznosti družbe na kupca pridobiti predhodno soglasje upnikov družbe, za prenos poslov družbe pa soglasje drugih pogodbenih strank, kar pri prodaji podjetja s prodajo poslovnega deleža/delnic ni potrebno. Torej ali tudi s strani zadevnih posameznikov glede prenosa njihovih osebnih podatkov, ki so bili pridobljeni na temelju soglasja? Namreč skladno z določili obligacijskega zakonika je prenos pogodbe posebna oblika razpolagalnega pravnega posla, katerega razpolagalni učinki nastopijo s privolitvijo druge pogodbene stranke obligacijskega razmerja, ki se prenaša. Obligacijski zakonik privolitve v prenos pogodbe podrobneje ne ureja, vendar pa je mogoče utemeljeno sklepati, da za izjavo o privolitvi veljajo vsi pogoji za veljavnost pravnega posla. Tako je o privolitvi v prenos pogodbe mogoče sklepati tudi na podlagi ravnanja stranke, kar pomeni, da ni treba, da bi bila volja vselej izražena izrecno.
V skladu s predhodnico GDPR, to je direktivo št. 95/46 / ES ni bilo vedno jasno, kako je treba obravnavati prenose baz osebnih podatkov med strankama, v primerih, kjer je kupec kupoval samo sredstva družbe. Direktva je omogočala taksen prenos podatkov, le če interesi posameznika niso prevladali nad interesi prodajalca taknih sredstev. To pa ni bilo vedno enostavno ugotoviti oziroma utemeljiti.
Po novem režimu, ki ga uvaja GDPR pa ni dvoma, da imajo posamezniku pravico ugovarjati uporabi njihovih podatkov. Vsako predhodno soglasje za obdelavo podatkov se lahko tudi kadarkoli umakne.
Prav tako ni dvoma, da takšen pravni temelj ne pride v poštev v primerih prenosov posebnih vrst osebnih podatkov (člen 9. GDPR).
Pregled različnih besedil politik zasebnosti upravljavcev pokaže, da upravljavci med dovoljene načine uporabe osebnih podatkov vključujejo tudi prenos osebnih podatkov v primeru statusnih preoblikovanj, različnih korporacijskih dejanj in prodaje družbe (upravljavca osebnih podatkov). Takšen prenos osebnih podatkov pa upravljavci tipično temeljijo na pravnem temelju zakonitega interesa (legitimnega interesa). Vprašanje pa je ali so prenosi baz osebnih podatkov in s tem povezanih morebitnih soglasij posameznikov na novega upravljavca vedno upravičeni na temelju legitimnega interesa, to je brez soglasja zadevnega posameznika.
Upravičena je skrb, da bi v primerih velikih baz osebnih podatkov takšna soglasja posameznikov lahko postavila na kocko izvedbo dogovorjenega posla prodaje družbe oziroma izvedbo takšnega posla zelo otežila in časovno zavlekla.
Stališče, da bi gre lahko v primerih takšnih prenosov šlo za zakoniti interes kupca in prodajalca je zato zelo aktualno in pomembno. Informacijski pooblaščenec RS je v svojem mnenju št. 0712-3/2018/1735 zapisal: Po mnenju IP bi lahko prenos zbirke osebnih podatkov v okviru prenosa celotne dejavnosti podjetja pomenil takšno uresničevanje zakonitega interesa zasebnega sektorja, ki očitno prevladuje nad interesi posamezne stranke. Seveda pa to velja le v primeru, da je bila baza strank prvotno pridobljena v skladu z veljavno zakonodajo in da se ta prenaša kot del celotnega poslovanja. Namreč smiselno je, da z nakupom celotne dejavnosti spletne trgovine kupec pridobi tudi bazo uporabnikov. Prenos osebnih podatkov na drugo podjetje je torej eventualno zakonit, v kolikor gre za prenos celotne dejavnosti (poslovanja), za opravljanje katere so osebni podatki iz zbirke, ki se prenaša, po naravi stvari nujno potrebni.
Zagotovo je v takšnih primerih potrebno izvesti oceno zakonitih interesov (ocena namena obdelave, potrebe upravljavca in uravnoteženja interesov). Zakoniti interesi upravljavca, tudi upravljavca, ki se mu osebni podatki lahko razkrijejo, ali tretje osebe lahko predstavljajo pravno podlago za obdelavo, če ne prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, pri čemer se upoštevajo razumna pričakovanja posameznikov, na katere se nanašajo osebni podatki, glede na njihovo razmerje do upravljavca.
Nemški organi za varstvo podatkov (Datenschutzkonferenz) so pred kratkim objavili zelo restrektivne smernice o prenosu osebnih podatkov v primerih prodaje/prenosa sredstev druzbe. Nemški organi za varstvo podatkov dovoljujejo prenos osebnih podatkov strank na podlagi zakonitega interesa le v primerih prodaje/prenosa vsega ali delov sredstev/premoženja družbe le, če je zadnja pogodba s strankami prenehala pred manj kot tremi leti. Osebnih podatkov potencialnih strank in osebnih podatkov strank, katerih pogodbe so bile prekinjene pred več kot tremi leti, ni mogoče prenesti brez privolitve posameznika, na katerega se nanašajo osebni podatki.
Priporočila nemških nadzornega organa določajo:
- Prenos veljavnih pogodb nas se opravi v skladu s civilnim pravom, kjer je za prenos pogodbe na splošno potrebno soglasje druge stranke (enako kot pri nas 122. člen OZ). V smernicah je navedeno, da bi to soglasje veljalo tudi za prenos osebnih podatkov;
- osebni podatki obstoječih strank se lahko prenesejo na podlagi zakonitega interesa, če je v šestih tednih po prenosu dana posamezniku možnost nestrinjanja. To je omejeno na stranke, katerih pogodba je prenehala največ tri leta pred prenosom, ali če so stranke že začele komercialna pogajanja.
- V kadar primeru starih pogodbenih strank, katerih pogodbe so prenehale pred več kot tremi leti, temelj zakonitega interesa ne omogoča prenosa osebnih podatkov za novo uporabo, razen za namene vodenja zakonskih evidenc.
V primerih prodaje družbe s prodajo vseh ali bistvenega dela sredstev/premoženja družbe (asset deal) je tako potrebna še posebna pozornost pri prenosih baz osebnih podatkov z namenom zagotoviti veljavnost takšnih prenosov. Zdi se, da pravni temelj zakonitega interesa ne bo mogoče vedno uporabljiv in bo odvisen tudi od od obsega prenosa premoženja družbe, vrste premoženja, ki se prenaša, vrste osebnih podatkov, načina pridobitve soglasja, pravnega temelja za obdelavo osebnih podatkov, starosti osebnih podatkov, sedeža kupca itd.
Vesna Stanković Juričić, univ. dipl. pravnica
